目次
ITシステムへの依存度の高まりに伴うサイバー攻撃やシステム障害の増加、パンデミックの発生など、金融機関を取り巻くリスクは複雑化している状況です。将来の予測が困難な現代にあわせ、金融機関の事業継続戦略を見直す必要があります。
ここでは、金融機関におけるBCPの策定手順とポイントを、内閣府の事業継続ガイドラインや金融庁の資料をもとに解説します。具体的な対策事例も紹介しているので、BCPの策定や見直しに役立ててください。
金融機関における事業継続戦略の動向
金融機関を取り巻く環境は年々変化しており、ITシステムへの依存度の増大に伴うシステム障害の発生やサイバー攻撃の発生、さらにクラウドサービスの利用拡大など、リスクが複雑化している状況です。実際に2023年度の金融機関におけるシステム障害の件数は1,900件に及んでおり、早急な対策が求められています。
こうした状況下の中、従来のリスク管理やBCPでは対応が不十分といった考えが広まりつつあります。いかなる事態でも重要な業務を継続し続けるには、外部との円滑な連携のもと、業務プロセス全体での包括的な体制を整えるオペレーション・レジリエンス（以下、オペレジ）が重要です。
オペレジとは、「業務の強靭性」や「復旧力」などを意味する言葉であり、重要業務を最低限維持すべき水準で提供し続ける能力のことを指します。事前対策を講じても業務中断は起こるものと認識し、インシデント発生時に利用者の視点に立って、事前に対応策を確保しておくことが求められます。オペレジ確保に向けた基本動作は以下の通りです。
【オペレジの基本動作】
金融庁の資料によれば、BCP（事業継続計画）はオペレジを構成する重要な要素のひとつとして挙げられています。具体的な動きとしてはBCPをベースにオペレジを検討し、定期的な見直しや改善活動、課題に合わせた対策の追加が必要です。
金融機関のBCP策定状況と課題
内閣府の「令和7年度企業の事業継続及び防災の取組に関する実態調査」によると、金融・保険業のBCP策定率は82.2％となっており、ほかの業種に比べ高い数値を示しています。しかしリスク対応の課題としては「自社従業員への取組の浸透」、「取組時間・人員の確保」などが挙げられている状況です。いかに継続的な取り組みとしてBCPを経営に組み込みながら、体制を確立するかが重要となります。
参考資料：令和7年度企業の事業継続及び防災の取組に関する実態調査｜内閣府防災担当
金融機関におけるBCPの策定ポイント・具体的な対策事例
金融機関のオペレジ確保においては、まずBCPの策定が鍵を握ります。ここでは金融庁の「オペレーショナル・レジリエンス確保に向けた基本的な考え方」と、内閣府の「事業継続ガイドライン」を参考にしながら、BCPの策定ポイントを手順ごとに解説していきます。
具体的な対策事例もご紹介するので、ぜひご参考ください。
①基本方針の策定と実施体制の構築
まずは基本方針の策定および実施体制の構築を行います。まずは自社や事業を取り巻く環境、経営方針などと照らし合わせて、基本方針を策定しましょう。実際には、経営方針や事業戦略、社会情勢の変化などに応じて、適宜、基本方針を見直している金融機関も多くあります。
次に、自社の事業継続を統括するプロジェクトチームを立ち上げます。組織を横断して事業継続を遂行していくためにも、関わる部門すべての関係者を集めたチームを作り上げましょう。
②重要業務の選定
BCPの策定だけでなく、オペレジの確保においても、重要業務の選定は非常に重要です。重要業務を特定するため、自社を取り巻くリスクや事業への影響度をまずは分析しましょう。事業中断による利用者への影響だけでなく、売上や利益、サービスの市場シェア率なども勘案する必要があります。
重要業務選定の際にぜひ取り入れたいのがビジネスインパクト分析（以下、BIA）です。BIAは、インシデント発生時の影響を定量的・定性的に評価する方法で、業務を取り巻く現状を分析する環境分析と、業務自体の進行手順からリスクを洗い出す業務分析の2軸からなります。
これらの分析を経て業務の優先順位を決めたら、次に必要となるのが重要業務に欠かせない経営資源の特定です。ステークホルダーへの影響を考慮したうえで最大許容停止時間（MTPD）や、目標復旧時間（RTO）を設定し、ボトルネックとなる経営資源を洗い出しましょう。
オペレジの確保においては、上記のほかに業務中断が起きた際に最低限維持すべき水準を示した“耐久度”の設定が必要です。“耐久度”は、利用者の生活への影響を一定の範囲内に抑えるための基準で、影響を受ける顧客数や取引数、取引額などから設定できます。
③事業継続戦略と対策の検討
上記の分析をもとに、重要となる経営資源に関して事業継続戦略や対策を検討します。事業継続戦略においては、現地の復旧戦略や代替戦略などさまざまな視点で準備が必要です。たとえば、システムが停止した場合、早急なシステム復旧も必要ですが、利用者目線でいえば代替手段の案内も重要となります。
事前対策について、一例を以下に紹介します。
- 重要業務の遂行に必要な人員を算出したうえで、緊急時に備えた要員計画を作成
- 人材不足に備え、マルチタスクの人材の育成
- 本社が機能不全に陥った場合に備え、各支社にバックアップオフィスを複数準備
- 本社など重要な拠点に、自家発電設備や燃料を準備
- メインのデータセンターから離れた場所に、バックアップセンターを確保
また、オペレジを強化するにはサードパーティとの連携も重要です。平時から重要なサードパーティと対話を進めながら対策を練り、レジリエンスを高めていくことが求められます。
④計画策定
事業継続計画書に、検討した事業継続戦略や対策をまとめていきます。その際、BCPの発動基準や緊急時の初動対応・体制、意思決定フローなども明確にしておくことが重要です。
あわせて、事前対策やBCPの教育・訓練、計画の見直し・改善活動について実施計画を立て、PDCAを回しながらBCPを維持・更新していく体制を整えます。
⑤事前対策・教育・訓練の実施
実施計画をもとに事前対策や教育・訓練を実施していきます。教育においては、BCPの基礎や緊急時の作業手順、各々の役割を周知するため、職員研修やeラーニングにより学習を進めるなどの方法があります。
また、オペレジの強化においては訓練などで抽出した課題の見直しが非常に重要です。金融機関におけるBCP訓練では、バックアップオフィスの立ち上げ訓練やバックアップシステムへの切り替え訓練、意思決定訓練など、さまざまな訓練内容が考えられます。これらの訓練結果をもとに、重要な業務や耐性度、経営資源を適宜見直し、必要に応じて追加の対策を検討していくことが必要です。
⑥継続的な見直し・改善活動
BCPは年1回以上の定期的な見直しのほか、組織体制の変更などの際にも内容の点検が必要です。地震や感染症に関して政府などから被害想定が公表された際に、計画を見直すという金融機関も非常に多くあります。
以下で東日本大震災後の見直し・改善事例をいくつか紹介します。
- 震災時に連絡がつながりにくかった経験から、連絡体制や方法を見直す
- 利用者からの照会増加を受け、フリーダイヤルの回線を確保
- 共同センターの機能不全に備え、自行センターで利用者の預金明細を管理
- 震災で得た知見をもとに、避難場所や対策本部の設置場所を見直し
他企業の策定事例
大手金融機関では、BCP策定だけでなく、レジリエンスを強化するための枠組みを構築し、あらゆるインシデントに備えています。
具体的には利用者への影響度から、重要業務の選定と、目標復旧時間・目標復旧レベルの設定を実行。重要業務は、資金や証券の決済、現金供給など、社会機能の維持といった観点で必要な業務を複数選定しています。この重要業務の要となる経営資源を特定し、検証を繰り返しながら必要な対応を実施しています。
具体的な対策で挙げられているのは、建物の耐震補強や他拠点との連携による人員補充、外部委託先との連携体制などです。
インフォコムの危機管理・BCPコンサルティングサービス
金融機関が予測不能な現代に対応するには、オペレジの確保が非常に重要です。まずはオペレジの重要な要素となるBCPの策定または既存のBCPの見直しから行いましょう。
BCPを維持・更新するには、定期的な見直しと改善活動を行うBCMの構築が鍵になります。インフォコムではBCPの策定から実践・振り返りまでを伴走してサポートするコンサルティングサービスを提供しています。オペレジの強化を目指す金融機関のご担当者様はぜひお問い合わせください。
